🤖 machine learning

HijackKV: New Threat in Position-Independent KV Cache Reuse

Este artículo presenta HIJACKKV, un novedoso marco de ataque que explota la reutilización del caché KV independiente de la posición en los modelos de lenguaje extensos para secuestrar silenciosamente el comportamiento del modelo mediante la inyección de prefijos controlados por el atacante que contaminan las representaciones en caché del texto benigno, logrando altas tasas de éxito incluso bajo restricciones realistas y a través de diferentes modelos.

Autores originales: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Publicado 2026-07-23

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás en una biblioteca enorme y bulliciosa donde miles de personas le hacen preguntas a un bibliotecario superinteligente cada segundo. Para responder rápidamente, el bibliotecario no vuelve a leer cada libro desde el principio; en su lugar, mantiene una "hoja de trucos" de notas (llamada caché KV) para las partes de la conversación que ya ha procesado. Si alguien hace una pregunta que comienza con las mismas palabras que una anterior, el bibliotecario puede simplemente tomar la hoja de trucos existente y saltarse el trabajo duro, haciendo que la respuesta salga increíblemente rápido. Así es como los chatbots de IA modernos ahorran tiempo y energía. Sin embargo, esta velocidad conlleva una regla complicada: usualmente, la hoja de trucos solo funciona si la historia completa que precede a la pregunta es exactamente la misma. Pero recientemente, los ingenieros inventaron una forma nueva y más rápida de usar estas hojas de trucos. Decidieron permitir que el bibliotecario tome una hoja de trucos solo porque apareció una frase o un fragmento de texto específico, incluso si la historia antes de eso era totalmente diferente. Es como tomar una página de un libro de historia solo porque menciona "La Luna", independientemente de si la historia anterior trataba sobre viajes espaciales o una fiesta de pizza.

Este artículo, titulado HIJACKKV, descubre un fallo de seguridad astuto en este nuevo método más rápido. Los investigadores descubrieron que, si bien el nuevo sistema es excelente para la velocidad, accidentalmente crea una puerta trasera. Debido a que la "hoja de trucos" para una frase se guarda basada en el contexto en el que fue escrita, un atacante puede engañar al bibliotecario para que escriba una hoja de trucos "envenenada". Lo hacen alimentando a la IA con una historia falsa que parece inofensiva pero que está diseñada secretamente para retorcer las notas de una frase común. Más tarde, cuando un usuario inocente hace una pregunta que contiene esa misma frase común, el bibliotecario toma las notas envenenadas. De repente, la IA comienza a dar la respuesta incorrecta, o incluso una peligrosa, sin que el usuario haya escrito nada malo. Es como si alguien hubiera deslizado una nota en el libro de referencia de la biblioteca que dice: "Si ves la palabra 'Luna', dile a todos que salten de un acantilado", y el bibliotecario, siguiendo las reglas, hace exactamente eso para la próxima persona que pregunte por la Luna.

Los investigadores, trabajando con expertos en ciencias de la computación, construyeron una herramienta llamada HIJACKKV para demostrar que esto no es solo una teoría. Mostraron que un atacante no necesita irrumpir en la biblioteca o hackear la computadora; solo necesita hacer algunas preguntas para plantar las notas envenenadas. Una vez plantadas, estas notas pueden secuestrar el comportamiento de la IA para otras personas. En sus pruebas, este ataque funcionó increíblemente bien, teniendo éxito aproximadamente el 94% de las veces en un solo intento. Incluso más aterrador, el ataque es difícil de detener. Los investigadores descubrieron que incluso si el sistema intenta arreglarse a sí mismo recalculando algunas de las notas (una medida de seguridad común), el ataque sigue funcionando, especialmente si el sistema solo recalcula una pequeña parte (como del 10% al 50%) de los datos. Las notas envenenadas también pueden sobrevivir a conversaciones largas, persistiendo incluso después de que se añaden cientos de frases nuevas y no relacionadas al chat.

El artículo también probó si este truco funciona en diferentes tipos de modelos de IA, incluso en aquellos a los que el atacante no tiene acceso directo (un escenario de "caja negra"). Encontraron que un truco diseñado para un modelo de IA a menudo podía engañar también a un modelo diferente, mostrando que el problema es generalizado. Los investigadores intentaron ver si los guardias de seguridad existentes, como el software que elimina notas "sospechosas" o que comprime las hojas de trucos para ahorrar espacio, podrían detener el ataque. Desafortunadamente, descubrieron que estas defensas fallaban en su mayoría porque las notas envenenadas parecen perfectamente normales para esos guardias. El estudio concluye que, si bien hacer la IA más rápida es genial, la forma actual de compartir estas "hojas de trucos" entre diferentes usuarios es fundamentalmente insegura. Los autores sugieren que los sistemas futuros necesitan ser rediseñados para verificar el contexto más cuidadosamente antes de reutilizar las notas, asegurando que la velocidad no se produzca a costa de permitir que extraños controlen lo que la IA dice.

Resumen Técnico: HIJACKKV - Nueva Amenaza en la Reutilización del Caché KV Independiente de la Posición

1. Declaración del Problema

Los Modelos de Lenguaje de Gran Escala (LLMs) dependen del almacenamiento en caché de Clave-Valor (KV) para reducir la latencia de inferencia, particularmente el tiempo de llegada del primer token (TTFT). Los mecanismos de caché tradicionales se basan en prefijos, lo que requiere coincidencias exactas tanto de las secuencias de tokens como de sus posiciones para reutilizar los estados en caché. Esta rigidez resulta en una baja tasa de aciertos de caché (cache hit rate), limitando las ganancias de eficiencia.

Para abordar esto, optimizaciones recientes de sistemas (por ejemplo, LMCache, CacheBlend, EPIC) han introducido la reutilización de KV independiente de la posición. Este mecanismo permite al sistema reutilizar los estados KV para cualquier fragmento de texto que coincida con los tokens de entrada, independientemente del contexto o la posición precedente. Si bien esto mejora significamente el rendimiento (throughput), el artículo identifica una falla de seguridad crítica: el Secuestro del Caché KV (KV Cache Hijacking).

La vulnerabilidad central surge porque los estados KV en los Transformers son intrínsecamente dependientes del contexto. El mismo fragmento de texto produce diferentes representaciones internas de KV dependiendo de los tokens precedentes. La reutilización de KV independiente de la posición desacopla el estado KV de su contexto causal. En consecuencia, un atacante puede diseñar un prefijo específico que, al combinarse con un fragmento de texto benigno común, genera un estado KV "contaminado". Cuando un usuario víctima consulta posteriormente el mismo fragmento de texto benigno (sin el prefijo malicioso), el sistema reutiliza el estado KV contaminado del atacante, secuestrando silenciosamente la salida del modelo sin que aparezca ningún texto adversarial en la entrada de la víctima.

2. Metodología: HIJACKKV

Los autores proponen HIJACKKV, el primer marco de ataque diseñado para explotar sistemáticamente esta vulnerabilidad en sistemas de caché KV multi-inquilino e independientes de la posición.

Flujo de Trabajo del Ataque

El ataque opera en dos fases:

Fase de Envenenamiento (Poisoning Phase): El atacante envía una consulta maliciosa que consiste en un prefijo adversarial optimizado ( $p$ ) seguido de un fragmento de texto objetivo ( $\tilde{X}$ ) que es probable que sea reutilizado (por ejemplo, preguntas frecuentes comunes, documentación). El sistema procesa esta entrada, computa los estados KV y almacena el caché KV para $\tilde{X}$ en el grupo compartido. Crucialmente, el estado KV para $\tilde{X}$ está ahora condicionado por el prefijo adversarial $p$ .
Fase de Explotación (Exploitation Phase): Una víctima envía una consulta que contiene el mismo fragmento de texto $\tilde{X}$ pero sin el prefijo $p$ . Debido a la coincidencia independiente de la posición, el sistema recupera el caché KV envenenado para $\tilde{X}$ . El modelo genera entonces una respuesta basada en el estado KV secuestrado, produciendo una salida alineada con el objetivo del atacante en lugar de la instrucción de la víctima.

Algoritmo de Optimización

HIJACKKV formula la búsqueda del prefijo adversarial óptimo como un problema de optimización. Emplea el algoritmo de Gradiente de Coordenadas Greedy (GCG) para refinar iterativamente el prefijo $p$ .

Objetivo: Minimizar la pérdida de entropía cruzada entre la salida del modelo (al reutilizar el caché KV envenenado) y una respuesta maliciosa objetivo ( $\tilde{r}$ ).
Simulación: El atacante utiliza un modelo sustituto local para simular todo el pipeline, incluyendo la inyección del prefijo, la generación del caché KV secuestrado y la posterior inferencia con la consulta de la víctima.
Entrenamiento de Robustez: El bucle de optimización puede incorporar estrategias de recomputación simuladas (por ejemplo, EPIC, CacheBlend) para asegurar que el prefijo generado siga siendo efectivo incluso cuando el sistema objetivo realiza una recomputación parcial de los estados KV.

3. Contribuciones Clave

Identificación de Vulnerabilidades: El artículo formaliza una nueva superficie de ataque introducida por la reutilización de caché KV independiente de la posición, distinguiéndola de la inyección de prompts tradicional (que requiere texto malicioso en la entrada de la víctima) y de los ataques de filtración de privacidad.
Marco HIJACKKV: El diseño del primer marco de ataque capaz de secuestrar la inferencia de LLM entre usuarios sin privilegios del sistema o modificación directa del caché.
Evaluación Exhaustiva: Una evaluación sistemática a través de múltiples modelos (Llama, Mistral, Qwen), conjuntos de datos (HotpotQA, SQuAD, MedQA, PubMedQA) y configuraciones de sistema (varios tamaños de fragmentos, ratios de caché y métodos de recomputación).
Análisis de Defensa: Una evaluación de las estrategias de mitigación existentes, demostrando que las defensas actuales (recomputación selectiva, poda de KV, compresión de caché) son insuficientes para neutralizar completamente la amenaza.

4. Resultados Experimentales

Los autores evaluaron HIJACKKV bajo entornos de caja blanca y caja negra, reportando las siguientes métricas clave:

Efectividad: HIJACKKV logra una Tasa de Éxito de Ataque Dirigido (T-ASR) promedio del 94% en un solo intento a través de varios modelos y conjuntos de datos. Sigue siendo altamente efectivo incluso contra estrategias avanzadas de recomputación como EPIC y CacheBlend.
Robustez:
- Bajas Tasas de Acierto (Hit Rates): El ataque sigue siendo efectivo incluso cuando la tasa de acierto de caché es tan baja como el 10% (es decir, solo una pequeña fracción del contexto del usuario es secuestrada).
- Alta Recomputación: El ataque persiste incluso cuando el sistema recomputa hasta el 50% de los tokens KV coincidentes.
- Tamaño de Fragmento: El rendimiento se mantiene estable en tamaños de fragmentos que van desde 32 hasta 512 tokens.
Persistencia: La influencia secuestrada persiste a través de interacciones de múltiples turnos. Incluso después de insertar 1,024 tokens de contexto no relacionado, la T-ASR se mantiene alta (55%), y se mantiene en 47% incluso con 2,048 tokens de relleno.
Transferibilidad:
- Caja Negra: El ataque se transfiere efectivamente a través de diferentes arquitecturas de modelos y tamaños de parámetros. Por ejemplo, un prefijo optimizado en Llama-3.1-8B logra una T-ASR del 37% contra Llama-3.3-70B y tasas similares contra modelos Qwen.
- Parafraseo: El ataque es robusto a las variaciones semánticas en la consulta de la víctima, manteniendo una T-ASR del 94% en entradas parafraseadas.
Escenarios del Mundo Real: En tareas de generación de código (HumanEval), el ataque logra una ASR promedio del 95.5% a través de diferentes temperaturas de decodificación.

5. Significado y Reivindicaciones

El artículo afirma que HIJACKKV representa un cambio fundamental en el panorama de amenazas de los sistemas de servicio de LLM. A diferencia de ataques previos que dependen de la modificación de las entradas del usuario o la explotación de filtraciones de privacidad, este ataque explota el compromiso entre eficiencia y seguridad inherente a las optimizaciones de caché modernas.

Insuficiencia de las Defensas Actuales: Los autores afirman que las defensas estándar, incluyendo la recomputación selectiva (incluso con ratios altos), la poda de KV (por ejemplo, RobustKV, CachePrune) y la compresión de caché, no logran eliminar la amenaza. Estos métodos a menudo preservan las entradas secuestradas de alto impacto o fallan en detectar la naturaleza dependiente del contexto de la corrupción.
Riesgo Sistémico: El ataque es práctico en entornos multi-inquilino del mundo real (por ejemplo, LLMs alojados en la nube, sistemas RAG) donde los usuarios frecuentemente comparten bases de conocimiento comunes. No requiere acceso privilegiado, lo que lo convierte en una amenaza viable para atacantes sin privilegios.
Llamado a la Acción: El artículo concluye que la comunidad debe ir más allá de las defensas basadas en heurísticas. Sugiere que los futuros sistemas de caché KV seguros requieren cambios de diseño, tales como mecanismos híbridos que prioricen los datos computados por el usuario o políticas de rechazo basadas en desviaciones, para asegurar que las ganancias de eficiencia no ocurran a expensas de la integridad del sistema.

Los autores enfatizan que su trabajo es una divulgación responsable, habiendo contactado a las partes interesadas pertinentes antes de la publicación para facilitar el desarrollo de mecanismos de reutilización de caché más seguros.